Introdução ao Phishing
A palavra 'Phish' é uma analogia para um pescador jogado para pescar como isca para pegá-los. Phishing é um exemplo de uma técnica de engenharia social usada para enganar os usuários. É um crime cibernético no qual os alvos podem ser contatados por e-mails, textos, chamadas para fazer com que o alvo confie que é de uma fonte legítima e que informações e dados confidenciais podem ser coletados do alvo. Os dados assim coletados podem incluir dados bancários, informações da conta, etc.
O phishing é um dos ataques cibernéticos mais antigos que começaram nos anos 90. Isso foi iniciado nos usuários da AOL nos anos 90, para induzi-los a fornecer as credenciais de login. Ainda assim, este é um dos principais ataques dos últimos tempos e tornou-se muito sofisticado.
Existem várias maneiras de lidar com o phishing, como conscientização do usuário, legislação, treinamento do usuário, medidas técnicas de segurança cibernética adequada.
Tipos de Phishing
Os tipos de ataques de phishing podem ser classificados nas seguintes categorias:
1. Spear Phishing:
Esse é o phishing para o qual um indivíduo ou uma empresa é direcionada. Ao contrário do phishing em massa, para aumentar a taxa de sucesso, os atacantes de phishing geralmente atacam indivíduos ou empresas e usam suas informações pessoais. Nesse ataque, os atacantes enviam mensagens especificadas para um indivíduo em vez de genérico. Os atacantes adicionam o máximo de detalhes pessoais possível para enganar os alvos de origem altamente legítima.
Como eles funcionam?
O spear phishing acontece verificando os perfis individuais através de sites de redes sociais. A partir de um perfil, eles poderão obter seu ID de e-mail, sexo, lista de amigos, localizações, etc. Com essas informações, o atacante poderá agir com o alvo como amigo ou alguma entidade familiar e enviá-los de forma convincente. postagens ou mensagens fraudulentas. Muitas vezes, acontece que o indivíduo enviou um link para alguns sites falsificados, onde parece ser um site real, mas é usado para ocupar nomes de usuário, senhas, etc. Depois que os invasores reunirem todas as informações necessárias, eles poderão acessar informações bancárias, enganar os invasores para baixar alguns malwares etc.
Ser cauteloso
- É preciso estar ciente de quais dados confidenciais estão sendo visíveis em sites sociais e online.
- As senhas podem ser criadas de maneira inteligente. Portanto, é muito difícil adivinhar.
- O software precisa ser atualizado com freqüência.
- Precisa ter cuidado ao clicar nos links dos e-mails. Mesmo com um pouco de suspeita, tente evitar clicar em links.
2. Clone de phishing:
Clonar phishing é um tipo de phishing em que um email de uma fonte legítima é completamente clonado para o conteúdo e o conteúdo malicioso é adicionado a ele. O invasor pode induzir o usuário a ser um e-mail atualizado e executar o trabalho de phishing. Ganhe o email, links maliciosos podem ser enviados e o usuário alvo pode ser chantageado, extorquido ou exposto.
3. Phishing de baleia:
O phishing de baleia pode ser considerado como um tipo de spear phishing, pois os alvos são indivíduos, mas não em massa. O phishing de baleia é um tipo de phishing em que funcionários de alto perfil são direcionados apenas. Isso é direcionado às informações altamente confidenciais de uma empresa. Os alvos desse ataque geralmente são pessoas de nível CFO / CEO, que mantêm informações muito importantes e sensíveis sobre a empresa. O termo baleia veio dependendo do tamanho do ataque (tamanho da baleia / tamanho grande). Devido à natureza direcionada muito alta, é muito difícil interromper esses tipos de ataques, pois os atacantes são muito cautelosos ao serem pegos e, portanto, há uma grande chance de o ataque ser bem-sucedido. Os ataques baleeiros são altamente personalizados e incorporaram o correio do atacante, nomes e outras informações diversas que eles podem obter através de várias fontes.
Os atacantes estão prontos para gastar muito tempo, pois as informações oferecem retornos muito altos do que os normais. Os ataques à baleia aconteceram recentemente em 2016, onde os CEOs foram levados a fornecer dados relacionados ao imposto de renda a terceiros não autorizados.
Maneiras de realizar phishing
Aqui estão diferentes métodos e maneiras de executar phishing, explicados abaixo:
Phishing enganoso
Essa é a técnica mais comum na qual os invasores representam uma empresa confiável e podem tentar roubar alguns dados confidenciais, como nomes de usuário, etc. Eles também podem enviar alguns links no Email que os redirecionam para sites falsos para coletar dados como credenciais de login.
Falsificação de sites
Nesse ataque, os atacantes usam comandos javascript para alterar o endereço do URL ao qual eles levam. Isso pode acontecer fazendo com que o URL da Web forjado seja aberto em vez de legítimo.
Evasão do filtro
Os phishers começaram a usar imagens em vez de texto, tornando difícil a detecção de filtros anti-phishing. No entanto, alguns filtros anti-phishing têm a capacidade de detectar textos / scripts ocultos incorporados nas imagens com OCRs.
Phishing por voz
Às vezes, o phishing não precisa acontecer online. Eles podem acontecer fazendo chamadas para os usuários como se fossem de bancos e convencendo-os a fornecer pinos, nomes de usuários e outros dados confidenciais através dos quais ataques de segurança financeira podem ser feitos, como roubar dinheiro, fazer compras, etc.
Phishing por SMS
Um link fraudulento de phishing pode ser enviado via SMS em vez de e-mails. Esse link funciona exatamente da mesma maneira que os links de spam em e-mails. Como as pessoas estão usando telefones celulares para quase tudo, isso se tornou bastante popular agora. As mensagens podem enganar os usuários com mensagens atraentes ou cativantes como “Você ganhou 50 lakh em um empate. Para reivindicar, clique em… ”
Phishing InSession
É aqui que o phishing depende da sessão do navegador ser capaz de detectar a presença de outra sessão. O phishing pode acontecer aqui, abrindo um pop-up que engana o usuário como se estivesse sendo aberto pela sessão de destino.
Como identificá-lo?
- O nome para exibição não é confiável.
- Verifique corretamente o endereço de e-mail do remetente. Às vezes, o endereço do site fornecido no email ou endereço de email do remetente pode ser suspeito, o que pode ser detectado com uma análise profunda.
- Às vezes, o texto do corpo do email pode ser mal escrito, mostrando que o email não é de uma fonte legítima.
- Além disso, o email pode conter anexos suspeitos, que podem conter malware ou ter algum vírus que é instalado quando aberto.
- Deve se abster de confiar se o e-mail perguntar sobre qualquer tipo de informação pessoal que pareça suspeita
- E-mails 'urgentes' podem ser uma ameaça. Cuidado ao receber um email com um senso de urgência. Geralmente, esse é um truque para fazer com que os usuários não pensem mais e tomem as medidas imediatamente, como fornecer informações pessoais e fazer o download de malware, etc.
- Verifique a assinatura. As fontes legítimas seriam muito transparentes e forneceriam informações completas de contato, número de telefone de suporte, etc. Portanto, verifique se a assinatura é válida e possui algumas informações confiáveis que ajudam a entender se o email é genuíno.
- Use navegadores adequados que tenham algum anti-phishing ativado nos navegadores. Chrome, Firefox, IE, Safari, etc. têm o anti-phishing ativado dentro deles.
Anti Phishing
1. Existem alguns sites na Internet que ajudam as pessoas a mostrar a mensagem exata que está circulando na Internet para phishing. Esses tipos de sites ajudam a espalhar a conscientização.
2. Muitas organizações começaram a implementar métodos em que os funcionários são treinados para implementar técnicas apropriadas legalmente dentro da organização, a fim de evitar ataques de phishing. As organizações também realizam campanhas de phishing para divulgar e fazer com que os funcionários entendam a importância da segurança contra o phishing. Além disso, as organizações tentam adotar um padrão / assinatura em emails oficiais para que o funcionário saiba se o email é realmente oficial ou não. No entanto, também depende realmente de o indivíduo prestar atenção a esse tipo de detalhe minucioso nos e-mails.
3. Os usuários podem ser treinados para reconhecer as tentativas de phishing e combatê-las com algumas técnicas apropriadas.
4. Navegadores como IE, Chrome e Firefox mantêm uma lista de sites fraudulentos populares em ataques de phishing. Isso informa o usuário antes mesmo de abrir o site, para que ele esteja seguro. No entanto, isso só pode impedir 50% do problema, pois os invasores, sabendo que seu site está bloqueado, obviamente preferem outra maneira, provavelmente alterando o domínio, etc.
5. Alguns sites bancários adotaram maneiras inteligentes de detectar phishing, pedindo aos usuários que digitassem a senha apenas quando uma determinada ação é confiável. Por exemplo; O site mostra um conjunto de imagens das quais o usuário selecionaria uma e que é exibida. Somente então, um usuário é solicitado a digitar uma senha e isso sugere que a página que está visualizando é confiável.
6. Os filtros de spam estão disponíveis em quase todas as caixas de correio que filtram os emails da caixa de entrada.
7. Atualmente, existem mais maneiras de autorizar um usuário, como fornecer um método de verificação em duas etapas, como um OTP para um número de celular.
8. Com o OAuth, onde você pode utilizar a autenticação google / facebook / twitter, o login fraudulento se tornou menos possível, pois a segurança e a segurança completas do login são completamente assumidas por essas grandes empresas.
9. O teste de penetração é uma técnica que autoriza um ataque simulado ao sistema do computador para verificar o nível de segurança do sistema. Isso é basicamente usado para avaliação de riscos, onde a avaliação avalia quão bom o sistema pode estar longe de ataques de segurança e quão vulnerável o sistema é para esses ataques. Neste, o sistema de destino é completamente revisado e obtém os dados. Em seguida, o teste é realizado com o objetivo de um ataque a dados específicos e, em seguida, testa a qualidade do sistema para encontrá-lo. O teste de caneta é um componente de uma auditoria de segurança completa.
As fases do teste de caneta incluem
1. Reconhecimento: Esta é a fase em que as informações necessárias são coletadas.
2. Verificação: use ferramentas para aprimorar o conhecimento do invasor sobre o sistema.
3. Obtendo acesso: aqui, o invasor pode usar a carga útil para atacar o sistema usando dados de 1 e 2 estágios.
4. Manutenção do acesso: persistir no ataque ao sistema e verificar se há vulnerabilidades.
5. Faixas de cobertura: Seja anônimo do que for executado.
Esses são os estágios dos testes de penetração e este é o padrão recomendado para ataques cibernéticos.
O teste da caneta pode ser de dois tipos:
- Teste externo: onde o teste é realizado em dados digitais externos, como site da empresa, servidores de correio, servidores de domínio etc.
- Teste interno: é aquele em que o teste é realizado em todos os sistemas dos dados que estão atrás dos firewalls da empresa.
Ataques de phishing relatados
Mesmo quando os computadores estão se tornando inteligentes e todas as novas técnicas vêm para combater o phishing, os invasores de phishing estão se tornando ainda mais inteligentes e lançando os ataques mais recentes.
1. As pessoas geralmente ficam assustadas quando recebem um e-mail dizendo que sua conta está sendo desativada. Os atacantes utilizam essa psicologia da mente humana e atacam através de e-mails, pedindo que cliquem em um link imediatamente. Como o e-mail vem com uma nota de emergência, as pessoas podem ficar presas facilmente sem nem mesmo verificar a realidade
2. Alguns e-mails como os nigerianos vêm com uma gramática muito ruim e, com o contexto, algo como solicitar uma quantia como doação, pagar uma alta taxa de hospital, etc. Esses e-mails são apenas outra maneira de obter simpatia dos usuários e atrair dinheiro deles. Esses e-mails foram relatados ao máximo no exterior e, principalmente, de fraudadores nigerianos.
3. Os atacantes conhecem outro truque que os humanos têm consciência de culpa e usam para assustá-los. Os e-mails viriam com o contexto informando que você está sujeito a uma violação e pelo qual precisa tomar medidas imediatas, como pagar alguma quantia dentro de três dias, caso contrário, você poderá ser preso ou sujeito a pagar muito dinheiro.
4. Os e-mails também vêm com um contexto como “Atenção .. Tome uma atitude imediatamente. Ligue para 1800 … números para receber o suporte imediatamente etc. Assim que você ligar para o número (o número pode ser facilmente comprado pelos fraudadores), um técnico entrará em contato com a assistência e solicitará que você forneça acesso remoto ao seu sistema . Assim que você fornece, eles acessam o sistema e instalam algum software mal-intencionado ou acessam seus dados, etc.
É altamente recomendável que as pessoas conheçam todos esses tipos de ataques de phishing e façam com que as práticas recomendadas sejam seguras neste mundo digital.
Artigos recomendados
Este foi um guia para o que é phishing ?. Aqui discutimos a fase, tipos e maneiras de realizar phishing. Você também pode consultar nossos outros artigos sugeridos para saber mais -
- Diferença entre Phishing e Pharming
- O que é um algoritmo ganancioso?
- Perguntas da entrevista sobre testes de penetração
- O que é segurança de rede?